Was ist die Anonymisierung von Dashcam-Aufnahmen?

Anonymisierung von Dashcam-Aufnahmen - Definition

Die Anonymisierung von Dashcam-Aufnahmen bezeichnet die kontrollierte Unkenntlichmachung von Daten, die in einer Aufnahme eines Kfz-Videorekorders sichtbar sind, bevor diese weitergegeben wird. In der Praxis geht es darum, eine Kopie des Videomaterials oder einzelner Frames so vorzubereiten, dass die Identifizierung von Personen und Fahrzeugen, die nicht unmittelbar mit dem jeweiligen Sachverhalt zusammenhängen, eingeschränkt wird. Im Kontext der Bildanonymisierung umfasst dies vor allem das Verpixeln oder Verwischen von Gesichtern und Kfz-Kennzeichen sowie bei Bedarf auch das manuelle Unkenntlichmachen anderer identifizierender Merkmale im Bild.

Eine so verstandene Redaction ist nicht mit der Löschung von Daten aus dem Originalmaterial gleichzusetzen. In der Regel wird eine bearbeitete Version zur Weitergabe an den Versicherer, einen Bevollmächtigten, einen Sachverständigen oder ein Gericht erstellt, während das Originalmaterial getrennt gesichert bleibt - entsprechend dem Verarbeitungszweck und dem Grundsatz des eingeschränkten Zugriffs. Maßgeblich ist hier die DSGVO, insbesondere die Grundsätze der Datenminimierung und Zweckbindung nach Art. 5 Abs. 1 Buchst. b und c der Verordnung (EU) 2016/679.

Bei Aufnahmen aus einer Dashcam sind die Daten, die im Hinblick auf eine Unkenntlichmachung zu prüfen sind, meist Gesichter, Kennzeichen und mitunter weitere nur beiläufig sichtbare Identifikatoren, etwa Dienstausweise oder Inhalte auf Gerätebildschirmen. Wichtig ist jedoch die Unterscheidung beim Automatisierungsgrad. Gallio PRO erkennt und anonymisiert automatisch ausschließlich Gesichter und Kfz-Kennzeichen. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Bildschirminhalte müssen manuell im Editor bearbeitet werden.

Wie ist die Redaction von Dashcam-Aufnahmen in der Compliance-Praxis zu verstehen?

Material aus einer Dashcam wird häufig als Nachweis für einen Unfall, eine Ordnungswidrigkeit oder einen Versicherungsfall an Dritte weitergegeben. Eine solche Übermittlung sollte auf die für den jeweiligen Zweck erforderlichen Informationen beschränkt sein. Das bedeutet, dass die weitergebende Stelle prüfen sollte, ob der Empfänger tatsächlich das vollständige, nicht anonymisierte Bild aller Verkehrsteilnehmer und aller Kennzeichen benötigt.

In der Compliance-Praxis umfasst die Bearbeitung in der Regel zwei Schritte: zunächst die Identifikation von Elementen, die personenbezogene Daten darstellen oder eine mittelbare Identifizierung ermöglichen, und anschließend die Anwendung einer Technik zur Unkenntlichmachung, die ein Auslesen dieser Daten in der weitergegebenen Version verhindert. Für Empfänger wie einen Versicherer oder ein Gericht kann der Umfang der Redaction unterschiedlich sein, weil sich Zweck und Rechtsgrundlage der Verarbeitung unterscheiden. In jedem Fall muss der Grundsatz der Angemessenheit nachgewiesen werden.

Welche Daten vor der Weitergabe einer Aufnahme unkenntlich gemacht werden sollten

Der Umfang der Anonymisierung von Dashcam-Aufnahmen hängt vom Zweck der Weitergabe, von der Empfängerkategorie und von lokalen Rechtsauslegungen ab. Bei Material aus einem Videorekorder im Auto werden meist das Gesicht und das Kennzeichen geprüft, da sie besonders leicht zur Identifizierung natürlicher Personen oder des Fahrzeugnutzers führen können, insbesondere in Kombination mit weiteren Daten.

Bei Gesichtern ist die Ausgangslage vergleichsweise klar. Das Abbild einer natürlichen Person kann im Sinne der DSGVO ein personenbezogenes Datum sein, wenn es eine direkte oder indirekte Identifizierung ermöglicht. Zusätzlich sind im deutschen Rechtsrahmen das allgemeine Persönlichkeitsrecht sowie die Grundsätze zur Veröffentlichung von Bildnissen relevant, insbesondere nach dem Kunsturhebergesetz. Von der Pflicht, vor einer Veröffentlichung die Einwilligung einzuholen, bestehen klassische Ausnahmen, etwa bei Personen des öffentlichen Lebens, bei Bildern als Beiwerk einer Landschaft, Versammlung oder öffentlichen Veranstaltung sowie in Fällen entgeltlichen Posierens.

Bei Kfz-Kennzeichen ist die Lage komplexer. Der europäische Datenschutzansatz behandelt ein Kennzeichen häufig als Information, die in einem bestimmten Kontext zur Identifizierung des Halters oder Nutzers eines Fahrzeugs führen kann - insbesondere in Verbindung mit zusätzlichen Datensätzen. In der Praxis gibt es unterschiedliche Auffassungen: Einerseits sprechen die Aufsichtspraxis der Datenschutzbehörden und ein vorsichtiger Compliance-Ansatz für das Verpixeln von Kennzeichen, andererseits wurde in der Rechtsprechung teils vertreten, dass ein Kennzeichen nicht in jedem Fall ein personenbezogenes Datum ist. Bei Veröffentlichung oder breiterer Weitergabe ist die Unkenntlichmachung von Kennzeichen der sicherere Weg.

Technologien für die Anonymisierung von Dashcam-Aufnahmen

Die automatische Bearbeitung von Dashcam-Videos basiert auf der Objekterkennung im Bild. Für Gesichter und Kennzeichen kommen Modelle des maschinellen Lernens zum Einsatz, meist aus dem Bereich Deep Learning, die auf annotierten Bilddatensätzen trainiert werden. Das Modell führt die Anonymisierung nicht selbstständig ohne vorheriges Training durch. Zunächst wird ein Detektionsmodell erstellt, erst danach wird es genutzt, um die Bereiche zu markieren, die in einer konkreten Aufnahme unkenntlich gemacht werden sollen.

In der Praxis umfasst die technische Pipeline in der Regel das Dekodieren des Videos, die Extraktion einzelner Frames, die Objekterkennung, das Tracking des Objekts zwischen den Frames und anschließend das Aufbringen eines Blur- oder Pixelmaskeneffekts. Das Tracking ist wichtig, weil es das Flackern der Maske reduziert und das Risiko verringert, dass ein Gesicht oder ein Kennzeichen zwischen zwei Frames kurz sichtbar bleibt. Bei Dashcam-Material erschweren schwankende Belichtung, Regen, Lichtreflexe, Kamerabewegungen und kleine Objekte im Bild die Erkennung zusätzlich.

Gallio PRO führt keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durch. Die Verarbeitung erfolgt erst nach der Aufnahme des Materials. Das ist aus Beweissicht wichtig, weil der Nutzer mit der aufgezeichneten Datei arbeitet und deren Fassung für die Weitergabe vorbereitet. Die Software anonymisiert keine ganzen Körper. Die Automatisierung bezieht sich ausschließlich auf Gesichter und Kfz-Kennzeichen.

Wichtige Parameter und Metriken bei der Redaction von Dashcam-Aufnahmen

Die Beurteilung der Qualität einer Redaction sollte sich nicht allein auf die Aussage stützen, dass ein System „Gesichter erkennt“. Für Beweismaterial sind sowohl die Detektionsmetriken als auch die operativen Prozessparameter relevant. Wenn eine Organisation das Tool validiert, empfiehlt es sich, die Wirksamkeit anhand eigener Stichproben aus den tatsächlich verwendeten Kameras zu messen.

Am häufigsten werden folgende Kennzahlen verwendet:

• Recall - der Anteil tatsächlich vorhandener Gesichter oder Kennzeichen, die erkannt und unkenntlich gemacht wurden.
• Precision - der Anteil korrekter Erkennungen an allen Detektionen. Ein niedriger Wert bedeutet zu viele unnötige Masken.
• False Negative Rate - das Risiko, dass ein Gesicht oder Kennzeichen unverpixelt bleibt. Aus Sicht des Datenschutzes ist dies ein kritischer Parameter.
• Verarbeitungszeit pro Aufnahmeminute - ein operativer Parameter, der bei großen Datenmengen wichtig ist.
• Stabilität der Maske zwischen den Frames - reduziert die Offenlegung von Daten bei schnellen Bewegungen.

Beispielsweise kann folgende Formel verwendet werden:

Recall = TP / (TP + FN)

Dabei steht TP für korrekt erkannte Objekte, die unkenntlich gemacht werden sollten, und FN für übersehene Objekte. Für Compliance-Abteilungen und Datenschutzbeauftragte ist häufig ein niedriger FN-Wert wichtiger als eine maximal hohe Precision, weil schon ein einzelnes übersehenes Element zur Offenlegung personenbezogener Daten führen kann.

Rechtliche und normative Bezüge für die Anonymisierung von Dashcam-Aufnahmen

Der zentrale Rechtsakt ist die Verordnung (EU) 2016/679, also die DSGVO, die seit dem 25. Mai 2018 gilt. Für Aufnahmen aus Dashcams sind insbesondere die Grundsätze nach Art. 5, die Sicherheit der Verarbeitung nach Art. 32 sowie der Ansatz Privacy by Design nach Art. 25 relevant. Bei Material, das Personen identifizieren kann, ist zu prüfen, ob die Weitergabe der vollständigen Version der Aufnahme für den jeweiligen Verfahrenszweck erforderlich ist.

Im deutschen Kontext sind außerdem das allgemeine Zivilrecht zum Schutz des Persönlichkeitsrechts sowie die Regelungen zur Verbreitung von Bildnissen nach dem Kunsturhebergesetz zu berücksichtigen. Für das Verständnis des Begriffs personenbezogener Daten im Bildbereich ist zudem die Rechtsprechung des EuGH wichtig, insbesondere die Rechtssache C-212/13 Ryneš zu Videoüberwachung und Bildverarbeitung im öffentlichen Raum durch eine Privatperson. Der Fall betraf zwar nicht unmittelbar Dashcams, wird aber bei der rechtlichen Bewertung von Videoaufnahmen regelmäßig herangezogen.

Wenn eine Organisation ein Verfahren zur Redaction einführt, sollte sie Folgendes dokumentieren:

• den Zweck der Weitergabe des Materials,
• den Umfang der angewandten Bildanonymisierung,
• die Person, die die Versandversion freigegeben hat,
• den Speicherort des Originals und der bearbeiteten Kopie,
• die Aufbewahrungsfrist für beide Versionen.

Einschränkungen und operative Risiken

Eine automatische Redaction ersetzt nicht die menschliche Kontrolle. Dashcam-Aufnahmen weisen oft eine geringe Qualität, verlustbehaftete Kompression und einen instabilen Bildausschnitt auf. Deshalb kann selbst ein gutes Modell ein kleines Gesicht im Hintergrund oder ein teilweise von einem anderen Fahrzeug verdecktes Kennzeichen übersehen. Aus Beweissicht besteht außerdem das Risiko, dass eine zu aggressive Maskierung ein für die Beurteilung des Vorfalls wesentliches Detail verdeckt.

Deshalb kombiniert ein sicherer Prozess in der Regel die automatische Erkennung mit einer manuellen Prüfung vor dem Export. Zudem ist zu beachten, dass Gallio PRO in Protokollen keine Daten speichern sollte, die den Inhalt der Erkennung von Gesichtern und Kennzeichen oder andere aus dem Bild stammende personenbezogene Daten offenlegen. Dadurch wird der Umfang technischer Daten reduziert, die bei der Arbeit mit dem Material entstehen.